Microsoft-Sicherheitsratgeber CVE-2026-85790 – Sicherheitslücke bezüglich Offenlegung von Informationen in .NET
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Zusammenfassung
Microsoft veröffentlicht diesen Sicherheitsratgeber, um Informationen über eine Sicherheitslücke in Microsoft.Native.Quic.MsQuic.Schannel bereitzustellen. Dieser Ratgeber bietet Entwicklern Anleitungen, wie sie ihre Anwendungen aktualisieren können, um diese Schwachstelle zu beseitigen.
Verschiedene Sicherheitslücken in MsQuic werden durch ein Update der nativen Binärabhängigkeit behoben.
Ankündigung
Die Ankündigung zu diesem Problem ist unter folgendem Link verfügbar: https://github.com/dotnet/announcements/issues/470
CVSS-Details
- Version: 3.1
- Schweregrad: Moderate
- Score: 5.9
- Vektor:
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N - Schwachstelle: CWE-416 (Use After Free)
Betroffene Plattformen
- Plattformen: Windows
- Architekturen: Alle
Betroffene Pakete
Die Sicherheitslücke betrifft Microsoft .NET-Projekte, die eine der unten aufgeführten betroffenen Paketversionen verwenden.
| Paketname | Betroffene Version | Bereinigte Version |
|---|---|---|
| Microsoft.Native.Quic.MsQuic.Schannel | >= 1.9.0, <= 2.6.1 | 2.6.2 |
Häufig gestellte Fragen (FAQ)
Woher weiß ich, ob ich betroffen bin?
Wenn Sie ein unter den betroffenen Paketen aufgeführtes Paket einsetzen, sind Sie von der Sicherheitslücke betroffen.
Weitere Informationen
Sicherheitsrisiken melden
Wenn Sie eine potenzielle Sicherheitslücke in einer unterstützten Version von .NET gefunden haben, melden Sie diese bitte über das MSRC-Forscherportal. an das Microsoft Security Response Center (MSRC). Weitere Informationen finden Sie in den MSRC Häufig gestellten Fragen zum Melden von Problemen.
Sicherheitsmeldungen über das MSRC können für das Microsoft .NET Bounty-Programm qualifiziert sein. Details zum Microsoft .NET Bounty-Programm einschließlich der Geschäftsbedingungen finden Sie unter https://aka.ms/corebounty.
Support
Fragen zu diesem Problem können Sie auf GitHub in der .NET GitHub-Organisation stellen. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime. Das Ankündigungs-Repository (https://github.com/dotnet/Announcements) enthält diesen Ratgeber als Issue und bietet einen Link zu einer Diskussionsrunde, in der Sie Fragen stellen können.
Haftungsausschluss
Die in diesem Ratgeber enthaltenen Informationen werden „wie besehen“ ohne jegliche Gewährleistung bereitgestellt. Microsoft lehnt jede Gewährleistung ab, sei sie ausdrücklich oder stillschweigend, einschließlich der Gewährleistung für die Marktgängigkeit und Eignung für einen bestimmten Zweck. In keinem Fall haften die Microsoft Corporation oder ihre Lieferanten für Schäden jeglicher Art, einschließlich direkter, indirekter, zufälliger Schäden, Folgeschäden, entgangenen Gewinns oder besonderer Schäden, selbst wenn die Microsoft Corporation oder ihre Lieferanten auf die Möglichkeit solcher Schäden hingewiesen wurden. Da einige Rechtsordnungen den Ausschluss oder die Begrenzung der Haftung für Folge- oder Begleitschäden nicht zulassen, gilt die vorstehende Einschränkung möglicherweise nicht.
Externe Links
Danksagungen
- reinusKR
Revisionen
V1.0 (10/13/2026): Ratgeber veröffentlicht.
Was zu tun ist
-
Um das Problem zu beheben, installieren Sie bitte die neueste Version von .NET. Wenn Sie ein oder mehrere .NET SDKs über Visual Studio installiert haben, werden Sie von Visual Studio aufgefordert, Visual Studio zu aktualisieren, wodurch auch Ihre .NET SDKs aktualisiert werden.
-
Wenn Ihre Anwendung auf das verwundbare Paket verweist, aktualisieren Sie den Paketverweis auf die gepatchte Version. Sie können die installierten Versionen mit dem Befehl
dotnet --infoauflisten.
Nachdem Sie die aktualisierte Runtime oder das SDK installiert haben, starten Sie Ihre Anwendungen neu, damit die Aktualisierung wirksam wird.
Wenn Sie selbstständige Anwendungen (self-contained applications) bereitgestellt haben, die auf eine der betroffenen Versionen abzielen, sind diese Anwendungen ebenfalls anfällig und müssen neu kompiliert sowie neu bereitgestellt werden.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | Microsoft.Native.Quic.MsQuic.Schannel | >= 1.9.0, < 2.5.12, >= 2.6.0, < 2.6.3 | 2.5.12, 2.6.3 |
Verweise
- CVSS-Vektor
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N- Schwäche (CWE)
CWE-416- Plattform
- .NET (NuGet)
- Paket
Microsoft.Native.Quic.MsQuic.Schannel- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 19.10.2026 19:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-2mxg-prvg-9jfg - CC BY 4.0
Schwachstellenhistorie: Microsoft.Native.Quic.MsQuic.Schannel
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 6
- Erste → letzte
- 10.2023 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 2
- Hoch 3
- Mittel 1
Veröffentlichungen pro Jahr
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 3
-
Microsoft-Sicherheitsratgeber CVE-2026-85790 – Sicherheitslücke bezüglich Offenlegung von Informationen in .NET dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.